NCSC w alercie z 18 czerwca opisało ujawnienie bazy poświadczeń po atakach na portale FortiGate/VPN. Zalecenia obejmują poszukiwanie nieautoryzowanych kont i badanie innych urządzeń korzystających z tych samych poświadczeń. Firma utrzymująca VPN oraz dostawca obsługujący urządzenia klientów powinni więc sprawdzić, czy reakcja na wyciek objęła również trwały dostęp i zasięg włamania.

Czy po zmianie hasła do firmowego VPN można już zamknąć incydent? Zanim zaakceptujemy taką odpowiedź, poprośmy o wynik sprawdzenia kont i urządzeń wskazanych w zaleceniach NCSC. Sam komunikat „hasło zmienione” nie odpowiada przecież na pytanie, czy znaleziono nieautoryzowane konto ani gdzie jeszcze używano tych samych poświadczeń. Proponujemy przyjąć właśnie te pytania jako punkt wyjścia do rozmowy z administratorem lub dostawcą usługi. Nie przesądzają one, że w danej firmie doszło do włamania. Pozwalają natomiast ustalić, czego dotyczy zapewnienie o zakończeniu prac: pojedynczej zmiany czy również badania dostępu i zakresu zdarzenia.

FortiGate/VPN: poświadczenia są punktem wyjścia do badania

Według NCSC ujawnienie bazy nastąpiło po próbach brute-force, atakach słownikowych oraz credential stuffing. W tym ostatnim mechanizmie napastnicy sprawdzają w innych usługach dane logowania skradzione wcześniej i liczą na to, że ktoś użył tej samej kombinacji nazwy użytkownika i hasła. To wyjaśnia znaczenie pytania o wspólne poświadczenia urządzeń.

Przy ocenie własnego VPN proponujemy rozdzielić informację o opisanej kampanii od ustaleń dotyczących firmowej instalacji. W notatce z badania zapiszmy, które konta i urządzenia już sprawdzono, a które dopiero wymagają weryfikacji. Nie wpisujmy wyniku dla urządzenia tylko dlatego, że ustalono wynik dla innego. Także brak wiedzy o ponownym użyciu poświadczeń oznaczmy wprost jako pytanie otwarte. Osoba czytająca raport powinna móc odróżnić potwierdzone ustalenie od założenia przyjętego na początku prac.

Przegląd kont musi mieć wynik obok zmiany hasła

Zalecenie NCSC, by szukać nieautoryzowanych kont, przełóżmy na pytanie o zakres firmowej procedury. Jeżeli kończy się ona na zmianie ujawnionego hasła, dopiszmy do niej sprawdzenie kont. To propozycja kontroli, bez przypisywania takiego zaniedbania konkretnej organizacji. Z dostępnych faktów nie wiemy, jak wyglądały procedury podmiotów dotkniętych opisaną kampanią ani jak je wykonywano.

Przy przeglądzie FortiGate/VPN poprośmy administratora o zestawienie kont z potwierdzoną podstawą dostępu. Dla pozycji wymagających wyjaśnienia wskażmy osobę, która ustali, czy konto powstało za zgodą organizacji. Nie oznaczajmy nieznanego konta automatycznie jako konta napastnika. Do czasu wyjaśnienia zachowajmy w raporcie status otwarty i konkretne pytanie dotyczące autoryzacji.

W protokole prac przy VPN proponujemy osobne miejsca na potwierdzenie zmiany hasła, wynik przeglądu kont oraz niewyjaśnione pozycje. Przy każdej otwartej pozycji dopiszmy termin odpowiedzi. W ten sposób osoba zatwierdzająca zakończenie prac będzie mogła zapytać o konkretne ustalenie, zamiast opierać decyzję na ogólnym zapewnieniu o wykonaniu procedury.

Przy FortiGate/VPN potwierdzenie zmiany hasła powinno być częścią raportu, a nie zastępować wynik sprawdzenia dostępu.

Zarząd powinien ustalić zakres badania pozostałych urządzeń

Drugie zadanie wskazane przez NCSC dotyczy innych urządzeń używających tych samych poświadczeń. Dla osoby nadzorującej reakcję na incydent proponujemy prostą zasadę: poprosić o listę urządzeń objętych badaniem wraz z uzasadnieniem jego zakresu. Jeżeli zespół nie potrafi jeszcze wskazać wszystkich miejsc ponownego użycia danych logowania, niech zapisze ten brak i przypisze odpowiedzialność za jego wyjaśnienie.

Przy VPN obsługiwanym przez dostawcę ustalmy, kto przygotuje taką listę, kto przeprowadzi badanie i kto odbierze jego wynik. Proponujemy uzgodnić również sposób przekazania informacji o urządzeniu, którego sprawdzenie wykracza poza aktualnie zlecone prace. Potraktujmy to jako zadanie organizacyjne, bez założenia, że konkretny dostawca używał wspólnych poświadczeń u różnych klientów.

Koszt i czas badania FortiGate/VPN ustalmy we własnej organizacji. Poprośmy o oszacowanie prac dla wskazanej listy urządzeń oraz o wymienienie niewiadomych wpływających na termin. Nie podawajmy zarządowi daty zamknięcia opartej wyłącznie na terminie zmiany hasła. W decyzji o zakończeniu incydentu uwzględnijmy wynik badania oraz odpowiedź na każde pozostawione pytanie o zakres dostępu.

Zakres badania VPN zatwierdzajmy razem z listą niewiadomych, za których wyjaśnienie odpowiada wskazana osoba.

Polska firma i dostawca VPN potrzebują wspólnych ustaleń

Dla polskiej organizacji korzystającej z FortiGate/VPN proponujemy zacząć od uzgodnienia z dostawcą, jakie informacje potwierdzą wykonanie przeglądu. Przywołane ustalenia nie pozwalają określić liczby poszkodowanych firm w Polsce ani skali ponownego używania poświadczeń. Nie potrzebujemy przypisywać polskim podmiotom udziału w tym zdarzeniu, aby zaproponować im pytania wynikające z zaleceń NCSC.

Do rozmowy o obsługiwanym VPN przygotujmy nazwę urządzenia, osobę odpowiedzialną za konta i oczekiwany zakres odpowiedzi od dostawcy. Poprośmy osobno o wynik szukania nieautoryzowanych kont oraz o ustalenia dotyczące pozostałych urządzeń. Jeśli którąś część sprawdzenia wykonuje zespół klienta, zaznaczmy to w ustaleniach. Nie pozostawiajmy zadania opisanego jedynie jako „po stronie obsługi”.

Przy odbiorze raportu FortiGate/VPN sprawdźmy też, czy odpowiedzi obejmują cały uzgodniony zakres. Pozycje bez wyniku zwróćmy do uzupełnienia ze wskazaniem odpowiedzialnej strony i terminu. Tak proponujemy przełożyć zalecenia na współpracę klienta z dostawcą: przez konkretne pytania o sprawdzone konta i urządzenia oraz zapis tego, czego nadal nie ustalono.

Co z tym zrobić w poniedziałek

  1. Ustal zakres przeglądu kont FortiGate/VPN. W 30 minut zapisz, kto potwierdzi autoryzację kont, gdzie trafi wynik i jaki jest termin wyjaśnienia wątpliwości. Jeśli masz dostępne zestawienie kont, wskaż pozycje wymagające odpowiedzi. Efektem ma być przygotowane zadanie przeglądu z osobą odpowiedzialną.
  2. Rozpocznij listę urządzeń do sprawdzenia. Przeznacz 30 minut na zebranie dostępnych ustaleń o ponownym użyciu poświadczeń VPN. Oddziel potwierdzone powiązania od pytań. Dla brakujących informacji wskaż administratora lub opiekuna usługi, który ma je uzupełnić; nie zakładaj kompletności listy.
  3. Przygotuj warunki odbioru prac przy VPN. W 30 minut zapisz oczekiwane wyniki dotyczące kont i pozostałych urządzeń, osoby odpowiedzialne po stronie firmy oraz dostawcy i termin odpowiedzi. Wskaż niewiadome do wyjaśnienia przed decyzją o zamknięciu incydentu.

Przy FortiBleed uzależnijmy decyzję o zakończeniu incydentu od ustaleń dotyczących dostępu i zasięgu włamania. W raporcie VPN wymagajmy odpowiedzi na pytania o konta oraz inne urządzenia używające tych samych poświadczeń. Zmiana hasła nie powinna zastępować tych odpowiedzi.

Źródła

Redakcja cyberinsight.pl.